CVE-2024-27134
Publiée le 2024-11-25 · Dernière modification le 2026-06-17
Les installations de MLflow utilisant l'API `spark_udf()` sont affectées par des paramètres de répertoire trop permissifs. Un attaquant local disposant d'un accès basique au système peut exploiter une fenêtre temporelle (ToCToU) pour augmenter ses privilèges et prendre le contrôle total du système. Cette attaque est difficile à exécuter, car elle nécessite à la fois un accès local au système et une interaction utilisateur spécifique pour être déclenchée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Excessive directory permissions in MLflow leads to local privilege escalation when using spark_udf. This behavior can be exploited by a local attacker to gain elevated permissions by using a ToCToU attack. The issue is only relevant when the spark_udf() MLflow API is called.